Het PHP-lek van deze week laat zien hoe sterk de veiligheid van je website afhangt van iets dat je zelden ziet: de server en de PHP-versie waarop hij draait. Wie een mooie site laat bouwen en daarna nooit meer naar het onderhoud kijkt, merkt dat pas als er iets misgaat. Dit artikel legt uit waarom je hosting ertoe doet en wat goed onderhoud in de praktijk betekent.
Wat is er aan de hand met PHP?
Twee kritieke kwetsbaarheden in PHP (CVE-2026-109618 en CVE-2026-109619, samen PHP2Shell) hebben de hoogste ernst gekregen: CVSS 9,2 van 10. Een aanvaller kan er op afstand code mee laten draaien. De details lekten op 20 oktober uit. De beveiligingsrelease voor PHP 8.2 tot en met 8.5 is aangekondigd voor 21 oktober om 16:00 uur Nederlandse tijd. Voor PHP 8.1 en ouder is volgens de berichten geen officiële fix. De NCSC adviseert zo snel mogelijk te updaten. Over daadwerkelijk misbruik zijn de berichten niet eensluidend: Cloudflare meldt eerste aanvallen, andere bronnen zagen nog niets bevestigd. Lees de feiten en bronnen op onze PHP-lek-pagina.
Waarom je hosting hierbij het verschil maakt
Een website bestaat uit drie lagen: de inhoud en het ontwerp, het CMS met plugins (bijvoorbeeld WordPress), en de server met PHP. Bij dit lek zit het probleem in de onderste laag. Je kunt je plugins perfect bijhouden en toch kwetsbaar zijn als de PHP-versie op de server niet is bijgewerkt. Daarom stel je bij je hostingpartij een paar vragen die veel ondernemers nooit stellen.
- Wie werkt PHP bij, en wanneer? Bij beheerde hosting doet de hoster dat. Bij een goedkope pakket-hosting of een eigen server ben jij zelf aan zet, of niemand.
- Welke PHP-versies kan ik kiezen? Zit je vast aan een oude versie, dan loop je risico zodra er geen updates meer komen.
- Wordt PHP na een update herstart? Een bijgewerkt pakket op de server beschermt pas als de PHP-processen opnieuw zijn gestart.
- Wat gebeurt er als het misgaat? Zijn er back-ups buiten de server, en hoe snel kan een versie worden teruggezet?
Websiteonderhoud is meer dan plugins bijwerken
Goed onderhoud is een vaste routine, geen eenmalige actie na een nieuwsbericht. In de praktijk gaat het om:
- PHP-versie bijhouden. Draai een ondersteunde versie en plan de overstap ruim voordat de oude versie stopt.
- CMS, thema’s en plugins bijwerken. En plugins die je niet gebruikt gewoon verwijderen. Elke plugin is een extra mogelijke ingang.
- Back-ups testen. Een back-up die je nooit hebt teruggezet, is een hoop. Bewaar er minstens één buiten de server.
- Beheerders en toegang opruimen. Oud-medewerkers en vergeten gebruikers horen er niet meer te staan.
- Letten op afwijkingen. Nieuwe PHP-bestanden in uploadmappen of onbekende beheerders zijn signalen die je serieus neemt.
Wat kost uitstel?
Een update bijwerken kost meestal een uur of minder. Een gehackte site kost je dagen: herstel, wachtwoorden vervangen, klanten informeren, en soms een waarschuwing in Google. Dat verschil is de reden dat onderhoud geen luxe is. Het is goedkoper dan de schade.
Eenvoudig beginnen: PHP-lek check & fix
Weet je niet welke PHP-versie je draait of of je site is bijgewerkt? Tot en met dinsdag 4 november 2026 doen wij voor €37,50 excl. btw per website een PHP-lek check & fix. Dat is een controle van PHP-versie, de update tegen PHP2Shell, CMS en verouderde plugins, een snelle controle op tekenen van misbruik, oplossen tot maximaal 1 uur werk (PHP bijwerken of bij je hostingpartij regelen, WordPress en plugins bijwerken, onnodige plugins uitschakelen) een kort rapport, en gratis een SEO-audit met een verbeterplan van de 10 belangrijkste punten (uitvoeren valt niet onder de actie). Herstel van een gehackte site, migratie naar nieuwe hosting en maatwerk zijn niet inbegrepen; daarvoor krijg je vooraf een vaste prijs. Toegang is nodig en het werk gebeurt na jouw akkoord. Geen enkele partij kan garanderen dat een site nooit gehackt wordt, maar je weet daarna wel waar je staat.
Check, fix en SEO-audit voor €37,50 · Alle voorwaarden en veelgestelde vragen
Veelgestelde vragen
Moet ik mijn site offline halen?
Meestal niet. Het belangrijkste is dat de update zo snel mogelijk wordt geïnstalleerd. Heb je een webshop of een site met inlogs en uploads, bespreek dan met je hostingpartij of een tijdelijke maatregel zinvol is.
Mijn site draait op PHP 8.1. Wat nu?
Overstappen op een ondersteunde versie (8.2 of hoger) na een verse back-up. Test eerst of je plugins en thema’s het aankunnen.
Heb ik een eigen hoster nodig om hier last van te hebben?
Nee, elke site op PHP kan geraakt zijn. Alleen sites op een website-bouwer zonder eigen PHP-server zijn het probleem van de leverancier.